Contrôle technique · Sites & applications créés avec l’IA
Lovable, Bolt, v0, Claude Code, Cursor, Replit : le code sort vite, et il sort
souvent bon. Ce qu’aucune IA ne fait à votre place, c’est vérifier ce qu’elle
a laissé ouvert — une clé d’API dans le navigateur, une base sans règle d’accès,
un noindex oublié. Nous le faisons.
Le constat
Ce n’est pas un procès fait au code généré — nous développons nous-mêmes avec l’IA tous les jours, et elle produit du bon travail. Le problème est ailleurs : personne ne lui a demandé de penser à votre base de données en production, à vos clés, à ce qui part dans le navigateur. Et celui qui déploie ne sait pas toujours quoi vérifier.
Les chiffres publics sur les secrets laissés dans le code donnent la mesure du phénomène.
28,6
millions de secrets codés en dur poussés dans les dépôts publics GitHub sur la seule année 2025, en hausse de 34 % en un an.
2×
plus de fuites d’identifiants dans les commits assistés par IA que dans la moyenne des commits publics : 3,2 % contre 1,5 %.
+81 %
de clés de services d’IA exposées en un an — 1 275 105 clés retrouvées en clair dans du code public.
64 %
des identifiants fuités en 2022 étaient encore valides en janvier 2026. Une clé oubliée ne se périme pas toute seule.
Ce qu’on contrôle
Le même découpage sert au scan public et à l’audit du projet. La différence n’est pas la liste des contrôles : c’est la profondeur à laquelle on peut les mener.
01
Ce qui est ouvert et ne devrait pas l’être.
.env, .git, sauvegardes, dumpsSecure, HttpOnly ni SameSite02
Qui peut voir quoi — la question que l’IA ne se pose pas à votre place.
service_role ou clé d’administration exposée au client03
Le code tient-il debout quand on s’appuie dessus ?
04
Ce que votre visiteur attend, mesuré.
05
Être trouvé par Google — et cité par les IA.
noindex oublié, robots.txt bloquant, sitemap absent06
Le droit ne fait pas d’exception pour le code écrit par une machine.
Deux niveaux
Un scanner voit ce que le serveur publie. Il ne voit ni vos règles d’accès à la base, ni votre authentification, ni ce que fait votre code côté serveur. C’est pourtant là que se trouvent les vrais risques d’une application.
01
Sans aucun accès
On analyse ce que votre site expose au monde entier : en-têtes, code envoyé au navigateur, secrets visibles, indexation, traceurs, conformité de surface. C’est exactement ce qu’un attaquant regarde en premier.
Gratuit
Lancer le scan public02
Avec votre dépôt ou votre archive
Vous connectez votre dépôt Git ou vous envoyez un ZIP. On lit ce que le navigateur ne montrera jamais : variables d’environnement, appels d’API, règles d’accès à la base, authentification, requêtes SQL, permissions, logique serveur, routes protégées.
Sur devis
Faire auditer mon projetAprès le rapport
Un rapport qu’on ne sait pas appliquer ne protège de rien. Le contrôle technique ne s’arrête pas au constat.
On établit l’état réel du projet : ce qui est critique, ce qui est important, ce qui va bien. Sans jargon, avec les preuves.
On répare. Vous pouvez reprendre le rapport vous-même, le confier à votre IA avec nos instructions, ou nous laisser faire.
Un projet vivant se re-casse. On rescanne après chaque évolution et on vous alerte quand quelque chose se dégrade.
Tarifs
Vous savez ce que vous payez avant de nous écrire. Un devis ferme remplace ces montants dès que le projet est atypique — et il ne monte pas après coup.
Gratuit
Le premier regard, sans engagement.
99€
Le scan public, approfondi et commenté par un humain.
Le plus utile
299€
Le niveau qui a vraiment de la valeur : on lit le projet.
dès 290€
On ne vous laisse pas seul avec la liste des problèmes.
29€ / mois
Parce qu’un projet qui bouge se re-casse.
Pour qui
Il est beau, il marche chez vous. Avant de le mettre en ligne, vérifiez qu’il est prêt pour le monde réel.
Authentification, base de données, paiement : c’est là que les erreurs coûtent cher, et c’est là que l’IA se trompe le plus discrètement.
Un avis indépendant sur ce qu’on vous a livré, en français, avec les preuves. Nous n’avons pas écrit le code que nous auditons.
Un contrôle systématique avant chaque mise en ligne, sous votre marque si vous le souhaitez.
Qui vérifie
Je m’appelle Thibaut Pietri. J’écris du web depuis 1998, et je développe aujourd’hui des applications métier complètes assistées par l’IA. Je connais donc très précisément ce qu’elle fait bien — et les six ou sept endroits où elle passe à côté systématiquement, parce que personne ne lui a dit de regarder.
C’est toute la différence avec un outil d’audit en ligne. Un scanner vous sort une liste. Il ne sait pas qu’une clé publique Supabase dans le navigateur est parfaitement normale, et que la même clé avec des règles d’accès absentes est une base de données ouverte à tous. Cette différence-là ne se lit pas dans un rapport automatique : elle se lit dans votre projet.
Site Protect · Saint-Orens-de-Gameville · SIRET 852 842 830 00014
Questions
Oui, et sans compte à créer. Vous collez une URL publique, nous l’analysons et nous affichons le résultat à l’écran. Nous ne demandons votre adresse que si vous voulez recevoir le rapport ou aller plus loin.
Non. Le scan public se comporte comme un visiteur : il télécharge votre page et les fichiers qu’elle référence, rien de plus. Aucune tentative d’intrusion, aucune écriture, aucune charge. Nous ne testons jamais une faille en l’exploitant.
Non. Lighthouse mesure la performance et quelques bonnes pratiques. Nous cherchons en plus ce qui fuit : clés d’API dans le code envoyé au navigateur, fichiers sensibles accessibles, en-têtes absents, traceurs déposés sans consentement, indexation cassée. Et surtout : le niveau qui compte vraiment lit votre projet, pas votre page.
Parce qu’un scanner produit des faux positifs et rate le contexte. Une clé publique Supabase dans le code du navigateur est normale ; la même clé avec des règles d’accès absentes est une base de données ouverte. La différence ne se voit pas dans l’outil, elle se voit dans le projet.
C’est le but. Chaque point est écrit en français, avec ce que ça change concrètement pour vous, le niveau d’urgence et la marche à suivre. Et si vous travaillez avec une IA, nous fournissons les instructions à lui donner mot pour mot.
Pas du tout — nous développons nous-mêmes avec l’IA tous les jours. Une IA écrit vite et souvent bien ; elle ne sait simplement pas ce qu’elle ignore, et personne ne l’a chargée de penser à votre base de données en production. C’est exactement ce contrôle-là que nous ajoutons.
Vous repartez avec un rapport actionnable. Vous pouvez corriger vous-même, faire corriger par votre IA avec nos instructions, ou nous confier la correction. Dans tous les cas, un contre-scan vérifie que le problème a bien disparu.
Non. Une archive ou un accès en lecture, le temps de l’audit, puis suppression. Nous signons un accord de confidentialité si vous en avez un ; sinon nous fournissons le nôtre.
Contact
Une réponse sous 24 heures ouvrées, écrite par la personne qui fera l’audit. Si votre besoin ne relève pas de nous, nous le disons tout de suite — c’est arrivé, et c’est mieux ainsi.